An der Uni Frankfurt waren mehrere Internetangebote am 22. Oktober 2026 vorübergehend nicht erreichbar. Der Grund liegt in einer weltweit bekannt gewordenen Sicherheitslücke in PHP, der Programmiersprache hinter vielen Websites. Die Frankfurt University of Applied Sciences nahm ihre Webseite ebenso vom Netz wie die Universitätskliniken Frankfurt sowie Marburg-Gießen. Auch das Sana-Klinikum in Offenbach und das Varisano-Klinikum Frankfurt-Main-Taunus waren nicht erreichbar.

Am Nachmittag war die Warnung bekannt geworden. Hessen und mehrere öffentliche Einrichtungen reagierten vorsorglich, indem sie ihre Internetseiten abschalteten. Die hessische Staatskanzlei erklärte, die Landesregierung nutze PHP-basierte Software für ihre Webangebote. Wegen der Sicherheitswarnung seien technische Anpassungen erforderlich. hessen.de, die Webseiten der Ministerien und nachgeordneter Behörden im Hessen-Web waren deshalb vorübergehend offline. Hinweise auf eine Ausnutzung der Schwachstelle durch Dritte gebe es nicht.

Webseiten aus, Verwaltung erreichbar

Auch Rheinland-Pfalz und die Stadt Mainz nahmen ihre Internetseiten vom Netz. In Mainz waren allerdings nur die Webseiten betroffen, nicht die Ämter der Stadtverwaltung. Telefone, E-Mail-Adressen und Social-Media-Kanäle blieben funktionsfähig. Nach der Installation von Sicherheitsupdates sollten die Seiten wieder online gehen.

Nach der Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) verschwanden außerdem die Webseiten der Städte Bad Homburg, Gießen und Langen vorübergehend aus dem Netz. In Langen waren laut Stadtmitteilung zusätzlich einige Dienste und Eigenbetriebe betroffen. Auch auf den Webseiten anderer öffentlicher Institutionen erschienen entsprechende Hinweise. Die Abschaltungen seien rein vorsorglich erfolgt, betonte die hessische Staatskanzlei. Nach technischen Anpassungen und Sicherheitsprüfungen sollten die Angebote wieder erreichbar sein.

Die Industrie- und Handelskammern informierten mögliche Betroffene über ihre E-Mail-Verteiler. Die IHK Frankfurt bezeichnete die Lücke als „PHP2Shell“. Angreifer könnten möglicherweise aus der Ferne schadhaften Code auf Webservern mit PHP-Anwendungen ausführen. Dafür seien wahrscheinlich weder eine Authentifizierung noch eine Nutzerinteraktion nötig. Am Nachmittag lagen laut IHK allerdings noch keine bestätigten Berichte über tatsächliche Hackerangriffe vor.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Zwei Lücken, hohe Bewertung

PHP-Entwickler hatten für den 21. Oktober 2026 ab 16 Uhr deutscher Zeit Details und Patches zu zwei Schwachstellen angekündigt: CVE-2026-109618 und CVE-2026-109619. Beide wurden nach CVSS 4.0 mit 9,2 von 10 bewertet. Den Bewertungen zufolge könnten Angreifer aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen, ohne sich anmelden zu müssen und ohne dass jemand auf der anderen Seite etwas anklickt.

In aktuellen Berichten werden die Lücken wegen ihrer vermuteten Tragweite auch „PHP2Shell“ genannt – in Anlehnung an „Log4Shell“. Das IT-Sicherheitsunternehmen Huntress, das PHP-Sicherheitsteam und das BSI warnten vor der Schwachstelle; das BSI veröffentlichte eine offizielle Cybersicherheitswarnung. Zum Zeitpunkt der Vorankündigung waren keine bestätigten Ausnutzungen bekannt, es gab jedoch unbestätigte Berichte über bereits existierende Exploits.

Die PHP-Entwickler stellten am 21. Oktober Patches für verschiedene PHP-Versionen bereit und veröffentlichten weitere Details. Informationen finden sich unter anderem in den GitHub-Advisories zu den beiden CVEs sowie in Blogartikeln von Wiz.io und Calif.io. Wiz.io und Calif.io waren gemeinsam mit OpenAI an der Entdeckung der Schwachstellen beteiligt. Die Veröffentlichung der Patches war für den 21. Oktober 2026 um 14:00 UTC angekündigt, entsprechend 16:00 Uhr MESZ. IHK, BSI und der PHP-Hersteller empfahlen, die Sicherheitsupdates schnellstmöglich zu installieren.

Das PHP-Projekt hatte zunächst noch keine vollständigen technischen Details veröffentlicht; auch die endgültige Liste betroffener und korrigierter PHP-Versionen stand noch aus. Nach Angaben von CERT-EU könnten PHP-Versionen ab PHP 5 betroffen sein, bestätigt war das durch die vollständigen offiziellen PHP-Hinweise zu diesem Zeitpunkt noch nicht. CERT-EU nannte ebenfalls die Kennungen CVE-2026-109618 und CVE-2026-109619.

Warum so viele Webseiten betroffen sein können

PHP steckt in Blogs, Nachrichtenportalen, Onlineshops und Content-Management-Systemen wie WordPress. Experten schätzen, dass weltweit 400 bis 500 Millionen Webseiten mit WordPress betrieben werden. Auch Drupal und Joomla setzen PHP ein. Die Warnung betrifft zunächst die PHP-Laufzeitumgebung und ist nicht automatisch eine neue WordPress-Schwachstelle.

WordPress nutzt PHP für serverseitige Aufgaben: zum Laden von Seiten, für die Verarbeitung von Formularen sowie für die Zusammenarbeit mit Plugins und Themes. Ein Update von WordPress, Plugins und Themes allein reicht deshalb nicht aus. Die PHP-Version des Webservers muss separat geprüft und aktualisiert werden.

In WordPress führt der Weg über „Werkzeuge“ zu „Website-Zustand“, anschließend in den Bereich „Bericht“ beziehungsweise „Info“ und dort unter „Server“ zum Eintrag „PHP-Version“. Die vollständige Versionsnummer sollte notiert werden. Beim Hosting-Anbieter lässt sie sich zusätzlich in der Verwaltungsoberfläche prüfen, etwa unter „PHP-Einstellungen“, „PHP-Version“ oder in der Domainverwaltung. Wer mehrere Domains betreibt, muss jede Website einzeln kontrollieren, weil unterschiedliche PHP-Versionen laufen können.

Auf eigenen Linux- oder Windows-Servern zeigt php -v häufig die PHP-CLI-Version an. Die kann allerdings von der Version abweichen, die der Webserver tatsächlich verwendet – etwa bei PHP-FPM, Containern oder getrennten Laufzeitumgebungen. Zusätzlich sind die vom Webserver verwendete PHP-Version sowie bei IIS die FastCGI-Einstellungen und Handler-Zuordnungen zu prüfen. Eine aktualisierte PHP-Kommandozeile bedeutet nicht automatisch, dass alle Websites bereits die korrigierte Version nutzen.

Was Betreiber jetzt prüfen sollten

Die angekündigten Sicherheitsupdates sollten über offizielle PHP-Pakete oder durch den Hosting-Anbieter installiert werden. Vorher gehört ein vollständiges Backup auf die Liste: Website-Dateien, Datenbank, WordPress-Konfiguration, Plugins, Themes und hochgeladene Medien. Nach Veröffentlichung der Patches sollte anhand der offiziellen Versionshinweise eine korrigierte PHP-Version ausgewählt werden. Der Wechsel auf eine andere, ebenfalls verwundbare Version wäre keine ausreichende Maßnahme.

Nach dem Update ist zu kontrollieren, ob der Webserver tatsächlich die korrigierte Version lädt. Je nach Umgebung kann dafür ein kontrollierter Neustart der PHP- oder Webserverdienste nötig sein. Bei WordPress sollten anschließend Startseite, Administrationsbereich, Formulare und gegebenenfalls der Warenkorb getestet werden. Wenn etwas hakt, können inkompatible Plugins oder PHP-Erweiterungen dahinterstecken.

Bis zur Verfügbarkeit der Patches können Betreiber öffentlich erreichbare PHP-Anwendungen erfassen, Zugriffe bei hohem Risiko vorübergehend einschränken und besonders kritische Anwendungen zeitweise vom Internet trennen. Eine Web Application Firewall, sichere Backups und regelmäßige Kontrollen der Webserver-Protokolle helfen ebenfalls. Garantieren lässt sich wegen der noch unvollständigen technischen Details allerdings nicht, dass vorhandene Firewall-Regeln jeden möglichen Angriff erkennen.

Betroffen sein können neben Linux-Systemen auch Windows Server mit IIS und FastCGI, Windows-Systeme mit PHP und Apache sowie lokale Entwicklungsumgebungen wie XAMPP, sofern sie über das Netzwerk erreichbar oder produktiv genutzt werden. Für die Administration empfiehlt es sich, zunächst alle öffentlich erreichbaren Systeme zu erfassen – besonders Server mit mehreren Websites oder unterschiedlichen PHP-Versionen. Versionen, Verantwortliche und Möglichkeiten für kurzfristige Updates sollten dokumentiert werden. Bei geschäftskritischen Anwendungen kann ein Funktionstest in einer vergleichbaren Umgebung stattfinden.

Eine erfolgreiche Ausnutzung könnte Remote Code Execution bedeuten, also die Ausführung von Schadcode auf betroffenen Servern. Mögliche Folgen reichen von manipulierten Webseiten über Datendiebstahl und die Installation weiterer Schadsoftware bis zum Zugriff auf Dateien, Datenbanken und andere Anwendungen – abhängig von den Berechtigungen des betroffenen Prozesses. Es war laut den vorliegenden Informationen nicht belegt, dass jede PHP-Website kompromittiert oder jede PHP-Installation unter allen Bedingungen angreifbar ist. Einige Unternehmen hatten ihre Webserver vorsorglich heruntergefahren und wollten sie erst nach Veröffentlichung und Installation der Patches wieder starten.

Für den 21. Oktober 2026 um 14:00 Uhr UTC waren die Sicherheitsupdates angekündigt. Die offizielle PHP-Sicherheitsveröffentlichung sollte die betroffenen Versionen und die tatsächlich korrigierenden Updates nennen. Betreiber von WordPress-Websites sollten daher ihre PHP-Version ermitteln, ein aktuelles Backup bereithalten und die Installation unmittelbar